Это должно быть исправлено с момента коммита SECURITY: Download allowlist for uploaded files · discourse/discourse@9c0642a · GitHub
Теперь у нас есть централизованная логика для определения, какие файлы должны отображаться «встроенно». Это означает, что PDF-файлы всегда отображаются встроенно, а некоторые менее безопасные типы файлов всегда предоставляются для загрузки. Эти изменения должны работать со всеми типами хранилищ для загрузки (локальное и S3, с CDN или без).